시드 구문 탈취·원격 조작 피해 경고
 |
| [빗썸 제공] |
[헤럴드경제=경예은 기자] 빗썸이 ‘가짜 거래 앱 사기’ 예방 가이드를 공개했다고 13일 밝혔다.
최근 가짜 앱 사기는 정상 앱의 이름과 디자인을 그대로 모방하는 수준을 넘어 초기에는 정상 앱처럼 작동하다가 업데이트를 통해 악성 기능을 추가하는 방식으로 진화하고 있다. 조작된 이용 후기를 활용해 신뢰도를 높이고 앱 마켓의 심사까지 우회하며 교묘히 이용자들에게 접근하고 있다.
대표적인 피해 유형으로는 해외 디지털자산 앱을 사칭한 가짜 앱을 설치하도록 유도한 뒤 지갑 복구용 시드 구문을 입력하게 해 디지털자산을 탈취하는 수법이 꼽힌다.
이외에도 국내 공공기관의 공식 앱과 유사한 가짜 앱을 유포한 뒤 연락처와 문자, 통화 내역 등에 대한 접근 권한을 확보해 개인정보를 빼내거나 단말기를 원격으로 조작하는 사례도 확인됐다.
빗썸은 피해 예방을 위해 앱을 검색 결과나 광고를 통해 내려받기보다 공식 홈페이지에 안내된 링크나 QR코드를 통해 설치해야 한다고 당부했다. 앱 개발사명이 공식 회사명과 일치하는지 확인하고, 짧은 칭찬 위주의 이용 후기가 반복될 경우 조작 가능성도 살펴봐야 한다.
디지털자산 거래와 직접 관련이 없는 연락처·문자·통화 권한 등을 요구하거나 앱 설치 이후 배터리 및 데이터 사용량이 급증하는 경우에는 악성 앱 감염을 의심할 필요가 있다고 설명했다.
가짜 앱을 이미 설치하거나 실행했다면 와이파이와 모바일 데이터를 포함한 네트워크 연결부터 차단해야 한다. 이후 다른 안전한 기기를 이용해 빗썸 비밀번호를 변경하고 2차 인증을 재설정하는 한편 API 키와 출금 주소 화이트리스트 설정도 점검해야 한다.
계정에서 이상 거래가 확인될 경우 빗썸 투자자보호센터에 연락해 계정 동결을 요청할 수 있다. 감염된 단말기는 백신 프로그램을 이용해 정밀 검사하거나 필요하면 초기화해야 한다.
피해 유형에 따라 해킹과 악성코드는 한국인터넷진흥원(KISA) 118상담센터, 사이버 사기와 보이스피싱은 경찰청, 금융 사기는 금융감독원에 신고할 수 있다.
빗썸 관계자는 “가짜 앱 사기는 공식 마켓의 신뢰도를 역이용할 만큼 교묘해지고 있다”며 “앱을 설치하기 전 공식 출처와 개발사명을 확인하는 습관이 소중한 자산을 지키는 가장 확실한 방패가 될 것”이라고 말했다.
한편 빗썸은 매월 둘째 주 수요일을 ‘정보보호의 날’로 지정하고 고객과 임직원을 대상으로 정기적인 보안 캠페인을 진행하고 있다. 지난달 빗썸은 사칭 피싱 예방 가이드를 공개, 거래소나 금융기관을 사칭해 가짜링크를 발송하는 수법에 피해를 입지 않도록 주의를 당부했다.
